hybrid-cloud-networking

捆绑的上游支持文件

支持文件位于相对于技能的路径中。有关其固定来源、许可证、哈希值和导入变更，请参阅 UPSTREAM-NOTICE.md。

支持材料的可用性

此目录副本中仍无法使用以下路径：

• <support-root>/references/vpn-setup.md

请勿调用需要这些文件的步骤。使用前，请获取原始材料并检查其依赖项、许可证和影响。在用户授权范围内，可继续执行独立的内联步骤和捆绑的辅助工具。

混合云网络

使用 VPN、Direct Connect 和 ExpressRoute 配置本地环境与云环境之间安全、高性能的连接。

以下情况请勿使用此技能

• 任务与混合云网络无关
• 你需要使用此范围之外的其他领域或工具

说明

• 明确目标、限制条件和所需输入。
• 应用相关最佳实践并验证结果。
• 提供可执行的步骤和验证方法。

用途

在本地数据中心与云服务提供商（AWS、Azure、GCP）之间建立安全、可靠的网络连接。

以下情况请使用此技能

• 将本地环境连接到云
• 将数据中心扩展到云
• 实施混合主动-主动配置
• 满足合规要求
• 逐步迁移到云

连接选项

在配置连接或发布路由前，确认确切的账户／订阅／项目、CIDR、路由策略和维护窗口。以下吞吐量／SLA 数值是依版本／拓扑而定的示例，并非保证；请核实提供商当前的文档和前置条件。专用线路本身并不具备端到端加密：如有需要，请选择受支持的 MACsec/IPsec/TLS。除非明确有此意图，否则请勿发布示例中的整个 10.0.0.0/8 网段；路由重叠或广泛传播可能导致流量泄漏或连接中断。请规划回滚，并测试 MTU、非对称路由、DNS 和故障转移。连接到同一设备／设施的两条隧道不构成独立的物理冗余。

AWS 连接

1. Site-to-Site VPN

• 通过互联网建立 IPSec VPN
• 每条隧道最高 1.25 Gbps
• 适用于中等带宽，成本效益高
• 延迟较高，依赖互联网

resource "aws_vpn_gateway" "main" {
  vpc_id = aws_vpc.main.id
  tags = {
    Name = "main-vpn-gateway"
  }
}

resource "aws_customer_gateway" "main" {
  bgp_asn    = 65000
  ip_address = "203.0.113.1"
  type       = "ipsec.1"
}

resource "aws_vpn_connection" "main" {
  vpn_gateway_id      = aws_vpn_gateway.main.id
  customer_gateway_id = aws_customer_gateway.main.id
  type                = "ipsec.1"
  static_routes_only  = false
}

2. AWS Direct Connect

• 专用网络连接
• 1 Gbps 至 100 Gbps
• 延迟较低，带宽稳定
• 成本较高，需要时间进行设置

**参考：**参见 references/direct-connect.md

Azure 连接

1. Site-to-Site VPN

resource "azurerm_virtual_network_gateway" "vpn" {
  name                = "vpn-gateway"
  location            = azurerm_resource_group.main.location
  resource_group_name = azurerm_resource_group.main.name

  type     = "Vpn"
  vpn_type = "RouteBased"
  sku      = "VpnGw1"

  ip_configuration {
    name                          = "vnetGatewayConfig"
    public_ip_address_id          = azurerm_public_ip.vpn.id
    private_ip_address_allocation = "Dynamic"
    subnet_id                     = azurerm_subnet.gateway.id
  }
}

2. Azure ExpressRoute

• 通过连接服务提供商建立专用连接
• 最高 100 Gbps
• 延迟低，可靠性高
• 全球连接需要高级服务

GCP 连接

1. Cloud VPN

• IPSec VPN（Classic 或 HA VPN）
• HA VPN：99.99% SLA
• 每条隧道最高 3 Gbps

2. Cloud Interconnect

• 专用连接（10 Gbps、100 Gbps）
• 合作伙伴连接（50 Mbps 至 50 Gbps）
• 延迟低于 VPN

混合网络模式

模式 1：中心辐射式

On-Premises Datacenter
         ↓
    VPN/Direct Connect
         ↓
    Transit Gateway (AWS) / vWAN (Azure)
         ↓
    ├─ Production VPC/VNet
    ├─ Staging VPC/VNet
    └─ Development VPC/VNet

模式 2：多区域混合

On-Premises
    ├─ Direct Connect → us-east-1
    └─ Direct Connect → us-west-2
            ↓
        Cross-Region Peering

模式 3：多云混合

On-Premises Datacenter
    ├─ Direct Connect → AWS
    ├─ ExpressRoute → Azure
    └─ Interconnect → GCP

路由配置

BGP 配置

On-Premises Router:
- AS Number: 65000
- Advertise: 10.0.0.0/8

Cloud Router:
- AS Number: 64512 (AWS), 65515 (Azure)
- Advertise: Cloud VPC/VNet CIDRs

路由传播

• 在路由表上启用路由传播
• 使用 BGP 进行动态路由
• 实施路由筛选
• 监控路由通告

安全最佳实践

1. 使用专用连接（Direct Connect/ExpressRoute）
2. 为 VPN 隧道实施加密
3. 使用 VPC 端点以避免通过互联网路由
4. 配置网络 ACL 和安全组
5. 启用 VPC Flow Logs 进行监控
6. 实施 DDoS 防护
7. 使用 PrivateLink/Private Endpoints
8. 使用 CloudWatch/Monitor 监控连接
9. 实施冗余（双隧道）
10. 定期进行安全审计

高可用性

双 VPN 隧道

resource "aws_vpn_connection" "primary" {
  vpn_gateway_id      = aws_vpn_gateway.main.id
  customer_gateway_id = aws_customer_gateway.primary.id
  type                = "ipsec.1"
}

resource "aws_vpn_connection" "secondary" {
  vpn_gateway_id      = aws_vpn_gateway.main.id
  customer_gateway_id = aws_customer_gateway.secondary.id
  type                = "ipsec.1"
}

主动-主动配置

• 来自不同位置的多个连接
• 使用 BGP 实现自动故障转移
• 等价多路径（ECMP）路由
• 监控所有连接的运行状况

监控和故障排查

关键指标

• 隧道状态（运行/停止）
• 入站/出站字节数
• 丢包率
• 延迟
• BGP 会话状态

故障排查

# AWS VPN
aws ec2 describe-vpn-connections
# Inspect VgwTelemetry in describe-vpn-connections and CloudWatch VPN metrics

# Azure VPN
az network vpn-connection show
az network vpn-connection show-device-config-script

成本优化

1. 根据流量调整连接规格
2. 对低带宽工作负载使用 VPN
3. 通过更少的连接汇聚流量
4. 尽量降低数据传输成本
5. 对高带宽场景使用 Direct Connect
6. 实施缓存以减少流量

参考文件

• references/vpn-setup.md - VPN 配置指南
• references/direct-connect.md - Direct Connect 设置

相关技能

• multi-cloud-architecture - 用于架构决策
• terraform-module-library - 用于 IaC 实施

限制

• 仅当任务明确符合上述范围时，才使用此技能。
• 不要将输出视为替代特定环境验证、测试或专家审查的方案。
• 如果缺少必要的输入、权限、安全边界或成功标准，请停止并请求澄清。